Операторы Warlock отключали защиту перед распространением шифровальщика
Изображение: OpenAI
Операторы Warlock выводили из строя защитное ПО на компьютерах жертвы перед распространением шифровальщика. Об этом сообщает CyberScoop со ссылкой на исследователей.
Такую схему исследователи зафиксировали при атаке на оператора критической инфраструктуры. До массового отключения защиты злоумышленники девять дней находились в его сети: 22 июля они установили веб-шелл на сервере SharePoint, а 31 июля приступили к распространению Warlock.
Примерно за два часа злоумышленники запустили инструмент для отключения защитного ПО как минимум на 40 узлах.
Затем шифровальщик разместили в общей папке домена SYSVOL, которую Windows реплицирует между контроллерами домена и делает доступной для чтения в домене. Штатная репликация помогла доставить вредоносное ПО как минимум на 33 узла. На каждом из них шифровальщик появлялся почти сразу после отключения защиты.
Microsoft называет эту связанную с Китаем группировку Storm-2603. 1 октября исследователи сообщили, что за предыдущие два месяца она атаковала не менее четырёх организаций в португало- и испаноязычных странах. Среди жертв: водоснабжающая организация, оператор связи, региональный орган власти и университет.
Вероятной точкой входа исследователи считают локальные серверы Microsoft SharePoint. По их оценке, у группировки по-прежнему есть эксплойты для уязвимостей ToolShell, а также для более новых уязвимостей SharePoint. ToolShell злоумышленники использовали ещё в июле 2025 года — в том же месяце Microsoft выпустила исправления. По оценке автора материала, старый эксплойт всё ещё полезен злоумышленникам, поскольку часть серверов до сих пор не обновлена.
